Jinja: По умолчанию автоматическое экранирование отключено, по умолчанию опасно.

Jinja - это не только для HTML, но и для универсального шаблонизатора. Я думаю, что большинство людей используют Jinja во Flask, который по умолчанию включает автоэскейп для HTML-шаблонов. Если вы интегрируете механизм шаблонов в свой собственный фреймворк, вы должны прочитать документацию о том, как его безопасно использовать.

Тем не менее, я думаю, что я очень четко указал в документации, что вам, вероятно, следует использовать autoescape при генерации HTML, - это хорошее предложение.

Я предполагаю, что большинство основных фреймворков понимают это правильно (больше глаз, меньше ошибок и т. Д.), Но есть также много небольших проектов, интегрирующих Jinja вручную, которые действительно допускают эту ошибку.

И, честно говоря, документация Jinja по этому поводу очень скудна. Вот что вы впервые видите, открывая документацию Jinja:

Jinja2 - это современный и удобный для разработчиков язык шаблонов для Python, созданный по образцу шаблонов Django. Это быстро, широко и безопасно с дополнительной изолированной средой выполнения шаблона:

«смоделирован по шаблонам Django» и «безопасный» может наводить на мысль, что он имеет функции безопасности шаблонов Django, такие как автоматическое экранирование.

Затем пример - HTML. И сразу после этого в списке возможностей:

мощная автоматическая система экранирования HTML для предотвращения XSS

Что не упоминает, что это необязательно и не включено по умолчанию.

На странице документации «Базовое использование API» не отображается включенное автоматическое экранирование, но и не отображается HTML, так что я думаю, что это нормально. Но затем, когда вы перейдете на страницу «Основы» API :

from jinja2 import Environment, PackageLoader
env = Environment(loader=PackageLoader('yourapplication', 'templates'))
template = env.get_template('mytemplate.html')
print template.render(the='variables', go='here')

Первый пример уязвим для тривиальных XSS-атак. Люди правы, если их сбивают с толку.

Похоже, хороший кандидат на пулреквест :)

Мы не можем выключить это сейчас, не нарушив общий код. Однако я рад соответствующим образом обновить документы. Я закрою это как wontfix, но не стесняйтесь открывать PR для обновлений документации.